JWT・Cookieそれぞれの認証方式のメリデメ比較 - Qiita

JWTとは JSON Web Tokenの略。ジョットと読むらしい。 ざっくりいうとJsonに電子署名を加え、URL-Safeな文字列にしたTokenのこと 正確にいうと、電子署名を使用する方式はJWS（JSON Web Signature）と呼ばれ、別途暗号化を使用するJWE（JSON Web Encryption）も存在する。よく見かける説明はJWS方式のほう。 JWS方式の場合、電子署名であり暗号化ではないため、中身を見ることは可能。但し改ざんはできない、という仕組み。 実際のユースケースで言うと、サーバ側で認証情報が入ったJsonを加工（電子署名を加える等）し、JWTにしたのち、それを認証Tokenとしてクライアントに渡す。クライアントはそのTokenを認証Tokenとして使用する。 仕組みについては調べればたくさん出てくるのでそちらを参照したほうが良いかと思います。 この記事では

[redredstar]

cookieとJWTって比較軸としておかしい。cookieかlocalstrangeか、もしくはJWTかただの識別子か、という比較でしょ。。

[naga_sawa]

ブラウザアクセスの場合JWTを安全に保管できないので避けるべき/HTTPヘッダを使うJWTでの認証認可はネイティブクライアント用バックエンド用の限定と考えておくのが無難

[sigeharucom]

比較がおかしいのは置いといて、JWT的なトークンはブラウザのオンメモリに置いとくといいね。SPAたけで作られたサイトなら。

[damedom]

この議論数年ごとに繰り返されてる気が。で、いつもWebアプリだとnpm等の依存ライブラリやアドネットワークのJSまで精査しきれないから完全にXSSのリスクを排除できずLocalStorageにJWT保管は危険、というところに落ち着く

[versatile]

メリデメてw　プロコンだろう

[remixed]

[[あとで読む]Cookie]

[shinyapple]

“https://auth0.com/blog/cookies-vs-tokens-definitive-guide/”

[himejimasandesu]

jwt

[gnbr_boy]

“4KBのデータサイズ制約があるので注意。 secure属性・httpOnly属性をつければ、XSS”

[cl-gaku]

cookieにJWTを格納すると最強に見える

[tumo300-500]

サービス間通信に使うのかセッション管理に使うのかで完全に別の観点になるので、混ざっているとモヤッとする

[knjname]

リダイレクトバックでJWT受け取るパターンならメモリ以外どこにも保管しないというのは出来る